Osoby pracující ve zdravotnictví přicházejí každodenně do kontaktu s množstvím osobních údajů. Na základě Nařízení o ochraně osobních údajů (GDPR), které vejde v účinnost již 25. května 2018, musejí očekávat řadu praktických změn. Pojďme si projít pár základních oblastí, ve kterých se GDPR dotkne každodenní činnosti subjektů poskytujících služby ve zdravotnictví, od pečovatelských domů až po velká nemocniční zařízení.
Obecně
Předmětem GDPR je co nejvíce ochránit fyzické osoby, jejichž osobní informace by měly být (zejména v oblasti zdravotnictví) přísně chráněny před porušením jejich zabezpečení, tedy byť i náhodnému zničení, ztrátě, změně, nebo i neoprávněnému poskytnutí nebo zpřístupnění.
Kdo se musí GDPR řídit?
GDPR se již za sedm měsíců musí řídit všichni ti, kteří údaje fyzických osob zpracovávají (tedy jakkoli s nimi operují). Může se jednat například o praktické lékaře, pečovatele, optiky, zubní ordinace a další.
Tito správci osobních údajů budou muset být schopni prokázat, že zpracovávají osobní údaje podle všech požadavků GDPR. Bude nutné přijmout nebo rozšířit technická a organizační opatření.
V odvětví zdravotnictví je třeba trvat na komplexnějším zpracovávání osobních údajů pacientů, členů jejich rodiny, zaměstnanců, ale především i osob zranitelných (děti) a osob, které souhlas se zpracováním osobních údajů nejsou schopny samy poskytnout.
Údaje o zdravotním stavu a podmínky jejich zpracování
GDPR zvlášť zmiňuje:
- údaje o zdravotním stavu (takové, které se týkají tělesného a duševního zdraví fyzické osoby, včetně údajů o poskytnutí zdravotních služeb, které vypovídají o jejím zdravotním stavu),
- genetické údaje (údaje týkající se zděděných nebo získaných genetických znaků fyzické osoby),
- biometrické údaje (například zobrazení obličeje nebo daktyloskopické údaje).
Právě pro tyto speciální kategorie údajů, které jsou zpracovávané ve zdravotnictví, jsou stanoveny přísnější podmínky než pro obecné osobní údaje.
Podmínkou zpracování zvláštních kategorií údajů je zejména to, že:
- subjekt údajů (např. pacient) udělí výslovný souhlas s jejich zpracováním pro jeden nebo více stanovených účelů,
- zpracování je nezbytné pro účely preventivního nebo pracovního lékařství,
- zpracování je nezbytné z důvodu významného veřejného zájmu v oblasti veřejného zdraví.
Je nutno zmínit, že podmínka „nezbytnosti“ pro zpracování těchto kategorií údajů není pouze formálním požadavkem. Správci těchto údajů (např. praktičtí lékaři) tedy budou muset důsledně posuzovat, které jimi požadované údaje do této kategorie ještě spadají a které již nikoli.
Souhlas se zpracováním osobních údajů ve zdravotnictví
Subjekt údajů (například pacient) musí poskytnout souhlas s jejich zpracováním, který je dle nařízení „svobodný, konkrétní, informovaný a jednoznačný projev vůle ve kterém subjekt údajů prohlašuje, nebo jinak zjevně potvrzuje své svolení ke zpracování osobních údajů“.
Souhlasy se zpracováním osobních údajů poskytnuté před 25. květnem 2018 budou platné pouze tehdy, jsou-li v naprostém souladu s požadavky GDPR.
Pro sektor zdravotnictví je důrazně doporučováno, aby byl souhlas poskytnut výslovně a co nejjednoznačněji, zejména formou samostatného deklaratorního prohlášení.
Práva subjektů osobních údajů
Je třeba si uvědomit, že GDPR poskytuje fyzickým osobám relativně široká práva, od „práva být zapomenut“ až po právo získat ke svým osobním údajům přístup. Proto bude kladen velký důraz na to, aby správci těchto údajů měli o zpracování a uchovávání údajů přehled a byli kdykoli schopni tyto údaje žadateli poskytnout. Počet žádostí o poskytnutí, nebo o výmaz údajů stoupá. Po nabytí účinnosti GDPR bude možné podat žádost zdarma, proto je pravděpodobné, že jejich počet ještě více naroste. Z toho důvodu je třeba své interní postupy těmto situacím dobře přizpůsobit.
Pověřenec pro ochranu osobních údajů ve zdravotnictví a Posouzení vlivu na ochranu osobních údajů
Ve zdravotnictví bude třeba jmenovat pověřence pro osobní údaje, zejména v případech rozsáhlého zpracování údajů spadajících do některé z výše uvedených kategorií (údaje o zdravotním stavu apod.). Odborné výklady nařízení se shodují, že jednotlivé ambulance pověřence mít nemusí (to neznamená, že nemusí přizpůsobit svoji činnost GDPR), nicméně sdružená lékařská zařízení ano.
Také bude třeba posuzovat „Vliv na ochranu osobních údajů“, jelikož jsou zpracovávány zvláštní kategorie údajů.
Největší dopady na činnost zdravotnických subjektů
Jedním z největších dopadů a změn dle GDPR je povinnost bez zbytečného odkladu (nejpozději do 72 hodin) oznámit porušení zabezpečení osobních údajů. Údaje musí být přísně zabezpečeny proti hrozbě hackerských útoků a odcizení údajů z počítače, případně „ransomware“ (vyděračskými počítačnovými programy) a zaměstnanci musí být dobře proškoleni.
Přizpůsobit se všem těmto rozsáhlým změnám nebude jednoduché, navíc v případě porušení některých podmínek hrozí správci údajů značné pokuty, a to až do výše 20 milionů EUR (asi 500 milionů Kč), případně až do 4 % celkového ročního obratu společnosti, pokud je tato částka vyšší.